Crédit Mutuel Arkéa: circa 100 de milioane de euro, prin platforma unui furnizor

• A avut loc un atac cibernetic care a permis tranzacții fraudulente. Plângerea penală a fost depusă în dimineața de miercuri, 4 noiembrie, iar comunicatul a fost publicat în aceeași zi.
• Atacatorii „au folosit contul propriu al Crédit Mutuel Arkéa pentru a efectua tranzacții către alți actori bancari”, în formularea băncii citată de AFP. Sumele au fost apoi convertite în criptomonedă.
• Estimarea provizorie este de circa 100 de milioane de euro. Banca a declarat că „este încă prea devreme pentru a comunica o sumă finală”.
• Clienții nu au fost vizați direct. Banca spune că atacatorii nu au folosit conturile clienților de la federațiile regionale sau de la filiale, că incidentul nu are consecințe asupra activelor clienților și că nu a fost raportat un furt de date ale clienților. Unele transferuri au fost doar întârziate.
• O parte din fonduri a fost blocată. Banca a suspendat temporar, ca măsură de precauție, unele operațiuni și a avertizat clienții asupra riscului de phishing care urmează de regulă unui astfel de anunț.
• Banca exclude eroarea umană și descrie evenimentul ca „un atac sofisticat venit din exterior”.
• Secția de criminalitate informatică a Parchetului din Paris a deschis o anchetă, atribuită Oficiului anticriminalitate informatică (OFAC), pentru acces fraudulos într-un sistem automatizat de prelucrare a datelor, în formă organizată.

Suma circulă în trei variante. AFP relatează estimarea provizorie a băncii, de aproximativ 100 de milioane de euro. Connexion France relatează 118 milioane de euro, precizând că banca nu a confirmat cifra. Publicațiile din zona criptomonedelor citează aproximativ 133 de milioane de dolari, pe baza urmăririi pe blockchain făcute de investigatorul ZachXBT.

Banca nu a confirmat o sumă exactă, dar, potrivit The Block, a validat ordinul de mărime al estimării lui ZachXBT. Investigatorul a precizat că cifra ar putea crește, pentru că atacul s-a desfășurat pe parcursul mai multor zile și ar fi putut include tranzacții suplimentare în afara piețelor publice.

Dacă îți construiești o decizie internă pe una dintre cifre, construiește-o pe cea mai mică și confirmată — estimarea provizorie a băncii. Celelalte două sunt utile pentru ordinul de mărime, nu pentru un calcul.

ZachXBT a semnalat public pierderile pe 2 noiembrie. Banca a publicat comunicatul pe 4 noiembrie. Între cele două momente au trecut două zile în care o estimare de peste 100 de milioane circula deja în spațiul public, bazată pe tranzacții vizibile pe un registru public, fără ca victima să fi spus nimic.

Asta nu este o acuzație de întârziere: termenele de raportare către autoritate sunt diferite de comunicarea publică, iar o bancă are motive legitime să nu vorbească înainte de a înțelege ce s-a întâmplat. Este însă o lecție operațională. Când banii pleacă pe șine care lasă urme publice, cronologia ta de comunicare nu mai este stabilită de tine. Cineva din exterior poate publica o cifră înaintea ta, iar prima întrebare a clienților și a jurnaliștilor va fi de ce nu ai spus-o tu.

Practic: dacă organizația ta poate suferi o pierdere financiară trasabilă public, pregătește din timp un comunicat care poate fi publicat cu informație incompletă — ce știi, ce nu știi încă și când revii. Arkéa a făcut exact asta, spunând că este prea devreme pentru o sumă finală.

• Notificarea inițială: cât mai curând posibil și, în orice caz, în maximum 4 ore de la clasificarea incidentului drept major, dar nu mai târziu de 24 de ore de la momentul în care entitatea financiară a aflat de incident (articolul 5 alineatul (1) litera (a) din Regulamentul delegat (UE) 2025/301).
• Dacă incidentul nu a fost clasificat ca major în primele 24 de ore, dar este clasificat astfel ulterior, notificarea inițială se depune în 4 ore de la clasificare.
• Raportul intermediar: în maximum 72 de ore de la notificarea inițială, chiar dacă starea sau modul de gestionare a incidentului nu s-au schimbat. Un raport intermediar actualizat se depune fără întârziere nejustificată și, în orice caz, când activitatea normală a fost restabilită.
• Raportul final: în maximum o lună de la raportul intermediar sau, dacă există, de la cel mai recent raport intermediar actualizat. Termenul curge de la raportul intermediar, nu de la incident.
• Dacă un termen cade în weekend sau într-o zi de sărbătoare legală, el poate fi respectat până la prânzul următoarei zile lucrătoare — cu o excepție importantă: această înlesnire nu se aplică notificării iniţiale şi raportului intermediar depuse de instituțiile de credit, de contrapărțile centrale, de operatorii de locuri de tranzacționare și de alte entități financiare identificate ca esențiale sau importante în temeiul articolului 3 din Directiva (UE) 2022/2555.
• Imposibilitatea de a respecta un termen nu se rezolvă prin tăcere: entitatea trebuie să informeze autoritatea competentă fără întârziere nejustificată, cel mai târziu la termenul respectiv, și să explice motivele.

O bancă nu are weekend la notificarea inițială. Mulți oameni din conducere presupun contrariul, pentru că înlesnirea există în text și se citește repede. Pentru o instituție de credit, un incident clasificat ca major sâmbătă dimineață produce un termen de 4 ore sâmbătă dimineață.

Verifică o dată, concret: cine poate clasifica un incident drept major la ora 03:00 într-o sâmbătă, prin ce canal ajunge notificarea la autoritate și cine are dreptul de semnătură dacă persoana nominalizată nu răspunde. Dacă răspunsul presupune un e-mail către cineva care revine luni, termenul este deja pierdut.

• Care furnizori sau platforme externe pot iniția plăți, nu doar citi date? Răspunsul trebuie să fie o listă, nu o apreciere. Separă clar accesul de citire de dreptul de a iniția o tranzacție.
• Ce limite și ce aprobări se aplică plăților iniţiate prin fiecare platformă? Un plafon pe tranzacție, un plafon zilnic și o confirmare pe alt canal pentru orice depășire sunt controale banale care transformă o pierdere mare în una suportabilă.
• Cine primește alerta pentru un transfer neobișnuit din contul propriu al organizației, nu din conturile clienților? Monitorizarea antifraudă este construită de obicei în jurul conturilor clienților. Contul propriu este adesea punctul orb.
• Cât durează, măsurat, revocarea accesului unui furnizor? Nu cât ar trebui să dureze. Cronometrează o revocare de test pentru fiecare platformă cu drept de iniţiere.
• Ce termen de notificare are furnizorul față de tine, exprimat în ore, și ce dovezi îți livrează? Dacă termenul tău legal este de 4 ore de la clasificare, un furnizor care notifică „fără întârziere nejustificată” nu îți este suficient.

• Identitatea furnizorului prin a cărui platformă s-a produs intrarea. Nicio sursă nu o numește, iar banca nu a publicat-o.
• Suma finală. Banca a confirmat doar o estimare provizorie și ordinul de mărime al unei estimări externe.
• Atacatorii. Nimeni nu a revendicat atacul și nu există atribuire publică.
• Caracterizarea „atac sofisticat” este a băncii. O intrare prin platforma unui furnizor nu dovedește, prin ea însăși, sofisticare; de regulă indică un drept de acces care exista și care nu era îngrădit suficient.
• Fortuneo, filiala online a grupului, a fost indicată de o relatare din presa de criptomonede drept punct de intrare. Banca a confirmat ulterior că nu a fost. Menționăm afirmaţia doar pentru că a fost publicată înainte de dezminţire.